Zero-day u BeyondTrust Remote Supportu iskorišćen za preuzimanje uređaja
Grupa Armory Castle, koja se povezuje s Kinom i ranije je praćena kao UNC5221 odnosno Warp Panda, iskoristila je zero-day ranjivost CVE-2026-102764 u rešenju BeyondTrust Remote Support. Propust ima CVSS ocenu 9,3, a napad na jedan samostalno hostovan uređaj zabeležen je 29. avgusta 2026. Ranjive su verzije od 24.3.1 do 26.2.3, za koje je objavljena zakrpa BT26-05-RS.
Greška u proveri porekla poruka
Problem se nalazi u internim komponentama Remote Supporta, ranije poznatog kao Bomgar. Te komponente nisu dovoljno proveravale poreklo primljenih poruka, što je udaljenom napadaču, pod određenim uslovima, omogućavalo operacije nad datotekama na uređaju.
BeyondTrust je SaaS korisnicima isporučio ispravku do 9. oktobra 2026. Organizacije koje samostalno hostuju Remote Support u navedenom opsegu verzija moraju ručno da primene zakrpu BT26-05-RS. Instalacije starije od verzije 24.3.1 prvo zahtevaju nadogradnju na noviju verziju kako bi ispravka mogla da se primeni.
Šta sledi nakon početnog pristupa
Googleov Mandiant je opisao postkompromitacioni tok u kojem napadači postavljaju lagani PHP veb-školj SAWFLY za interaktivni pristup i šifrovanu dvosmernu komandno-kontrolnu komunikaciju. Saobraćaj prikrivaju komercijalnim VPN izlaznim tačkama i kompromitovanim kućnim i malim kancelarijskim ruterima.
Operateri potom koriste veb-školj za podizanje privilegija, sticanje pune administratorske kontrole i trajnost koja preživljava ponovno pokretanje uređaja. Mandiant navodi pokušaje čitanja sačuvanih tajni pomoću uslužnog programa /ns/sbin/bt-secrets, koji upravlja lozinkama, API ključevima i akreditivima krajnjih tačaka.
Napadači su ciljali i konfiguracione šablone BeyondTrusta radi pristupa nalogu servisne lokacije sa root privilegijama bez lozinke. Sa kompromitovanim administratorskim akreditivima mogli su da istražuju aplikaciju, pokrenu udaljene sesije ka sistemima sa liste Jump Item i preuzimaju osetljive interne dokumente.
Tragovi koji zahtevaju hitnu proveru
Aktivnost je uključivala kopiranje /bin/sh u /usr/bin/dbus-authd, promenu vlasništva u root i postavljanje SUID dozvola. Za tunelovanje TCP veza korišćen je prilagođeni SOCKS5 alat BARECLAW, uz izmenu datoteke /ns/config/haproxy.conf kako bi bio dostupan direktno s interneta. Zabeleženo je i sistematsko brisanje sistemskih, veb-server i aplikativnih dnevnika.
Armory Castle je od oktobra 2023. koristio zero-day propuste u Citrix NetScaleru i Ivanti Connect Secureu protiv organizacija iz više sektora. BeyondTrust upozorava da uređaj dostupan s interneta na ranjivoj verziji tokom perioda eksploatacije treba smatrati potencijalno kompromitovanim dok se ne pregleda. Poslovni prioritet je zato zakrpiti izložene instance, proveriti indikatore kompromitacije i tek nakon provere ponovo uspostaviti poverenje u udaljene sesije i povezane interne sisteme.